Control granular con resource groups - - Centro de documentación de Alibaba Cloud

Puede integrar los resource groups con RAM para aislar recursos y gestionar permisos de forma detallada dentro de su cuenta de Alibaba Cloud. En este tema se explica cómo Tair (compatible con Redis®) admite los resource groups y cómo otorgar permisos sobre ellos.

Nota

La autorización a nivel de resource group solo aplica a resource types that support resource groups y a las operaciones que admiten este nivel de autorización.
En los tipos de recurso que no admiten resource groups, cualquier permiso otorgado a este nivel no surte efecto. Al seleccionar un alcance de recurso, elija el nivel de cuenta para otorgar una autorización a nivel de cuenta. Para más información, consulte Operations that do not support resource group-level authorization.

Autorización de resource group

Los resource groups le permiten organizar los recursos dentro de su cuenta de Alibaba Cloud. Por ejemplo, puede crear un resource group para cada proyecto y mover sus recursos a dicho grupo para gestionarlos de manera centralizada. Para más información, consulte What is a Resource Group.

Una vez organizados los recursos, puede otorgar permisos limitados a un resource group específico a distintos principales, como usuarios de RAM, grupos de usuarios de RAM y roles de RAM. Esto restringe al principal para que gestione únicamente los recursos de ese resource group. Para más información, consulte Resource Grouping and Authorization.

Este método de autorización ofrece las siguientes ventajas:

Permisos detallados: puede otorgar a cada identidad solo los permisos necesarios para acceder a recursos específicos. Así evita que se gestionen en conjunto los recursos de distintos proyectos.
Escalabilidad: cuando agrega nuevos recursos a un resource group, el principal asociado obtiene automáticamente los permisos correspondientes. No se requiere ninguna autorización adicional.

Otorgar permisos de resource group a un usuario de RAM

En este tema se explica cómo otorgar a un RAM user permisos sobre los recursos de ApsaraDB for Tair (compatible con Redis®) dentro de un resource group específico.

1. Requisitos previos

Cree un RAM user. Para más información, consulte Create a RAM user.
Cree un resource group y mueva los recursos existentes al resource group de destino. Para más información, consulte Create a resource group, Automatically transfer resources to a resource group y Manually transfer resources to a resource group.

2. Otorgar permisos a nivel de resource group

Utilice uno de los métodos a continuación para otorgar permisos a nivel de resource group.

Resource management console

Use la función de gestión de permisos de un resource group para otorgar permisos a un usuario de RAM específico. Para más información, consulte Grant resource group-scoped permissions to a RAM identity.

Inicie sesión en la consola de Resource Management.
En la página Resource Groups, en la columna Actions del resource group de destino, haga clic en Permission Management.
En la pestaña Permission Management, haga clic en Add Authorization.
En el panel Add Authorization, configure el principal y la política de permisos.
- Principal: seleccione un usuario de RAM existente.
- Permission Policy: seleccione una System Policy o una Custom Policy existente. Para más información, consulte Create a custom policy.
Haga clic en OK.

RAM console

Use la consola de RAM para otorgar permisos a nivel de resource group a un usuario de RAM específico. Para más información, consulte Manage permissions for a RAM user.

Inicie sesión en la consola de RAM con su cuenta de Alibaba Cloud (cuenta principal) o como administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Users. En la página Users, en la columna Actions del usuario de RAM de destino, haga clic en Add Permissions.
En el panel Add Authorization, configure los siguientes ajustes:
- Resource Scope: seleccione Resource Group.
- Principal: seleccione el usuario de RAM que creó en los requisitos previos.
- Permission Policy: seleccione una System Policy o una Custom Policy existente. Para más información, consulte Create a custom policy.
Haga clic en OK.

Tipos de recurso compatibles con resource groups

La tabla a continuación muestra los tipos de recurso de ApsaraDB for Tair (compatible con Redis®) que admiten resource groups.

Servicio en la nube	Código del servicio en la nube	Tipo de recurso
ApsaraDB for Tair (compatible con Redis®)	kvstore	instance

Nota

Si necesita compatibilidad con un tipo de recurso que aún no se admite, envíe sus comentarios en la consola de resource group.

Acciones sin autorización de resource group

Las siguientes acciones de Tair no admiten la autorización a nivel de resource group:

Acciones	Descripción
kvstore:CancelActiveOperationTasks	Cancela eventos de mantenimiento por lotes.
kvstore:CreateParameterGroup	Crea una plantilla de parámetros.
kvstore:CreateTairKVCacheInferInstance	-
kvstore:CreateTairKVCacheInferModule	-
kvstore:CreateTairKVCacheInferModuleNode	-
kvstore:CreateTairKVCacheVNode	Crea una instancia de nodo virtual Tair VNode.
kvstore:DeleteGlobalSecurityIPGroup	Elimina una plantilla global de lista blanca de IP.
kvstore:DeleteParameterGroup	Elimina una plantilla de parámetros.
kvstore:DeleteTairKVCacheInferModule	-
kvstore:DeleteTairKVCacheInferModuleNode	-
kvstore:DescribeActiveOperationMaintainConfig	-
kvstore:DescribeActiveOperationMaintenanceConfig	Consulta las configuraciones de tareas de mantenimiento de una instancia.
kvstore:DescribeActiveOperationTask	Consulta los detalles de las tareas de mantenimiento de una instancia de Tair.
kvstore:DescribeActiveOperationTaskCount	Consulta la cantidad de tareas de mantenimiento de una instancia de Tair.
kvstore:DescribeActiveOperationTaskType	-
kvstore:DescribeActiveOperationTasks	Consulta los detalles de los eventos de mantenimiento de una instancia.
kvstore:DescribeConnectionDomain	-
kvstore:DescribeDedicatedUserCluster	-
kvstore:DescribeDetachedInstances	-
kvstore:DescribeErrorLogRecords	-
kvstore:DescribeEventMetaInfo	-
kvstore:DescribeHistoryEventsStat	Consulta estadísticas de eventos históricos.
kvstore:DescribeHistoryTasksStat	Consulta estadísticas de tareas del centro de tareas.
kvstore:DescribeInstanceClasses	-
kvstore:DescribeInstanceForInner	-
kvstore:DescribeInstanceKeywords	-
kvstore:DescribeInstanceSpec	-
kvstore:DescribeInstancesByExpireTime	-
kvstore:DescribeMonitorItems	Consulta los elementos de monitoreo que admite una instancia de Tair.
kvstore:DescribeParameterGroup	Consulta la información básica de una plantilla de parámetros.
kvstore:DescribeParameterGroupSupportParam	Consulta los parámetros configurables para distintas versiones de una plantilla de parámetros.
kvstore:DescribeParameterGroupTemplateList	Consulta los detalles de los parámetros configurables en una plantilla de parámetros, como valores predeterminados, rangos de valores y descripciones.
kvstore:DescribeParameterGroups	Consulta las plantillas de parámetros disponibles.
kvstore:DescribeRdsVSwitchs	-
kvstore:DescribeRdsVpcs	-
kvstore:DescribeRdsVswitchs	-
kvstore:DescribeRecommendBuyUrlForRds	-
kvstore:DescribeServiceLinkedRoleExists	Comprueba si se otorgó un rol vinculado al servicio a Tair.
kvstore:DescribeTags	Consulta todas las etiquetas de una región especificada.
kvstore:DescribeTairKVCacheCustomInstances	-
kvstore:DescribeTairKVCacheInferSupportModule	-
kvstore:DescribeTairKVCacheVNode	-
kvstore:DescribeTairUserACKClusterInfo	-
kvstore:DescribeUserClusterHost	-
kvstore:DescribeUserClusterHostInstance	-
kvstore:DescribeUserEventConfig	-
kvstore:DescribeVSwitches	-
kvstore:DescribeVswitches	-
kvstore:DoLogicalDeleteResource	-
kvstore:GetPrice	-
kvstore:InitializeKvstorePermission	Otorga un rol vinculado al servicio a Tair.
kvstore:ModifyActiveOperationMaintainConfig	-
kvstore:ModifyActiveOperationTask	Modifica la hora programada de cambio de una tarea de mantenimiento.
kvstore:ModifyActiveOperationTasks	Modifica la hora de cambio de un evento de mantenimiento programado para una instancia.
kvstore:ModifyEventInfo	-
kvstore:ModifyGlobalSecurityIPGroupName	Modifica el nombre de una plantilla global de lista blanca de IP.
kvstore:ModifyInstanceParameter	Aplica una plantilla de parámetros a una instancia. Los cambios en una plantilla surten efecto solo después de volver a aplicarla a la instancia.
kvstore:ModifyParameterGroup	Modifica la configuración de una plantilla de parámetros.
kvstore:ModifyTaskInfo	Modifica una tarea. Actualmente, esta acción admite modificar la hora de ejecución de una tarea.
kvstore:ModifyUserEventConfig	-
kvstore:RenewAdditionalBandwidth	El ancho de banda de las instancias de Tair se actualizó al modelo pay-as-you-go. Ya no se recomienda usar esta acción.
kvstore:ResetAccount	-
kvstore:describeBackupPolicy	-

Para las acciones que no admiten autorización a nivel de resource group, otorgar permisos a resource group level no surte efecto. Para otorgar a un usuario de RAM permisos sobre estas acciones, debe crear una política personalizada y otorgar los permisos a account level.

A continuación se muestran dos ejemplos de políticas personalizadas. Puede ajustar el contenido de la política según sus necesidades de negocio.

Permite todas las operaciones de solo lectura que no admiten autorización a nivel de resource group: el elemento Action enumera todas estas operaciones.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kvstore:DescribeActiveOperationMaintainConfig",
        "kvstore:DescribeActiveOperationMaintenanceConfig",
        "kvstore:DescribeActiveOperationTask",
        "kvstore:DescribeActiveOperationTaskCount",
        "kvstore:DescribeActiveOperationTaskType",
        "kvstore:DescribeActiveOperationTasks",
        "kvstore:DescribeConnectionDomain",
        "kvstore:DescribeDedicatedUserCluster",
        "kvstore:DescribeDetachedInstances",
        "kvstore:DescribeErrorLogRecords",
        "kvstore:DescribeEventMetaInfo",
        "kvstore:DescribeHistoryEventsStat",
        "kvstore:DescribeHistoryTasksStat",
        "kvstore:DescribeInstanceClasses",
        "kvstore:DescribeInstanceForInner",
        "kvstore:DescribeInstanceKeywords",
        "kvstore:DescribeInstanceSpec",
        "kvstore:DescribeInstancesByExpireTime",
        "kvstore:DescribeMonitorItems",
        "kvstore:DescribeParameterGroup",
        "kvstore:DescribeParameterGroupSupportParam",
        "kvstore:DescribeParameterGroupTemplateList",
        "kvstore:DescribeParameterGroups",
        "kvstore:DescribeRdsVSwitchs",
        "kvstore:DescribeRdsVpcs",
        "kvstore:DescribeRdsVswitchs",
        "kvstore:DescribeRecommendBuyUrlForRds",
        "kvstore:DescribeServiceLinkedRoleExists",
        "kvstore:DescribeTags",
        "kvstore:DescribeTairKVCacheCustomInstances",
        "kvstore:DescribeTairKVCacheInferSupportModule",
        "kvstore:DescribeTairKVCacheVNode",
        "kvstore:DescribeTairUserACKClusterInfo",
        "kvstore:DescribeUserClusterHost",
        "kvstore:DescribeUserClusterHostInstance",
        "kvstore:DescribeUserEventConfig",
        "kvstore:DescribeVSwitches",
        "kvstore:DescribeVswitches"
      ],
      "Resource": "*"
    }
  ]
}

Permite todas las operaciones que no admiten autorización a nivel de resource group: el elemento Action enumera dichas operaciones.

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kvstore:CancelActiveOperationTasks",
        "kvstore:CreateParameterGroup",
        "kvstore:CreateTairKVCacheInferInstance",
        "kvstore:CreateTairKVCacheInferModule",
        "kvstore:CreateTairKVCacheInferModuleNode",
        "kvstore:CreateTairKVCacheVNode",
        "kvstore:DeleteGlobalSecurityIPGroup",
        "kvstore:DeleteParameterGroup",
        "kvstore:DeleteTairKVCacheInferModule",
        "kvstore:DeleteTairKVCacheInferModuleNode",
        "kvstore:DescribeActiveOperationMaintainConfig",
        "kvstore:DescribeActiveOperationMaintenanceConfig",
        "kvstore:DescribeActiveOperationTask",
        "kvstore:DescribeActiveOperationTaskCount",
        "kvstore:DescribeActiveOperationTaskType",
        "kvstore:DescribeActiveOperationTasks",
        "kvstore:DescribeConnectionDomain",
        "kvstore:DescribeDedicatedUserCluster",
        "kvstore:DescribeDetachedInstances",
        "kvstore:DescribeErrorLogRecords",
        "kvstore:DescribeEventMetaInfo",
        "kvstore:DescribeHistoryEventsStat",
        "kvstore:DescribeHistoryTasksStat",
        "kvstore:DescribeInstanceClasses",
        "kvstore:DescribeInstanceForInner",
        "kvstore:DescribeInstanceKeywords",
        "kvstore:DescribeInstanceSpec",
        "kvstore:DescribeInstancesByExpireTime",
        "kvstore:DescribeMonitorItems",
        "kvstore:DescribeParameterGroup",
        "kvstore:DescribeParameterGroupSupportParam",
        "kvstore:DescribeParameterGroupTemplateList",
        "kvstore:DescribeParameterGroups",
        "kvstore:DescribeRdsVSwitchs",
        "kvstore:DescribeRdsVpcs",
        "kvstore:DescribeRdsVswitchs",
        "kvstore:DescribeRecommendBuyUrlForRds",
        "kvstore:DescribeServiceLinkedRoleExists",
        "kvstore:DescribeTags",
        "kvstore:DescribeTairKVCacheCustomInstances",
        "kvstore:DescribeTairKVCacheInferSupportModule",
        "kvstore:DescribeTairKVCacheVNode",
        "kvstore:DescribeTairUserACKClusterInfo",
        "kvstore:DescribeUserClusterHost",
        "kvstore:DescribeUserClusterHostInstance",
        "kvstore:DescribeUserEventConfig",
        "kvstore:DescribeVSwitches",
        "kvstore:DescribeVswitches",
        "kvstore:DoLogicalDeleteResource",
        "kvstore:GetPrice",
        "kvstore:InitializeKvstorePermission",
        "kvstore:ModifyActiveOperationMaintainConfig",
        "kvstore:ModifyActiveOperationTask",
        "kvstore:ModifyActiveOperationTasks",
        "kvstore:ModifyEventInfo",
        "kvstore:ModifyGlobalSecurityIPGroupName",
        "kvstore:ModifyInstanceParameter",
        "kvstore:ModifyParameterGroup",
        "kvstore:ModifyTaskInfo",
        "kvstore:ModifyUserEventConfig",
        "kvstore:RenewAdditionalBandwidth",
        "kvstore:ResetAccount",
        "kvstore:describeBackupPolicy"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Un usuario o rol de RAM con permisos a nivel de cuenta puede gestionar todos los recursos de dicha cuenta. Asegúrese siempre de que los permisos otorgados sean necesarios y aplique el principio de mínimo privilegio al asignarlos.

Preguntas frecuentes

¿Cómo encontrar el grupo de un recurso?

Haga clic en el nombre del recurso para abrir su página de detalles, donde podrá consultar su resource group.
Inicie sesión en la consola de Resource Management y vaya a Resource Center > Resource Search. En el panel de navegación izquierdo, seleccione la cuenta propietaria del recurso (el valor predeterminado es current account). Use los filtros para buscar el recurso y consulte su resource group.

Consultar los recursos de un producto en un resource group

Inicie sesión en la consola de Resource Management y vaya a Resource Center > Resource Search. En el lado izquierdo, bajo la cuenta propietaria de los recursos (el valor predeterminado es current account), haga clic en el nombre del resource group de destino. En el lado derecho, seleccione el producto en la lista desplegable Resource Type para consultar todos sus recursos en ese grupo.
Inicie sesión en la consola de Resource Management y vaya a Resource Group > Resource Group. Busque el resource group de destino y haga clic en Manage Resources en la columna Actions. En la página Manage Resources, seleccione el producto en la lista desplegable Product para consultar todos sus recursos en el resource group.

Transferir varios recursos a otro grupo

Inicie sesión en la consola de Resource Management y vaya a Resource Group > Resource Group. Busque el resource group de destino y haga clic en Manage Resources en la columna Actions. Use los filtros para localizar los recursos que desea mover, seleccione sus casillas de verificación en la primera columna, haga clic en Transfer Resource Group debajo de la lista y siga las instrucciones en pantalla.